Abo
  • Services:

SSL-Lücke: Poodle beißt Windows Phone 7

Windows Phone 7 kann Mails nur mit dem uralten SSL-Protokoll Version 3 abholen. Das wird aber von vielen Mailservern wegen der Poodle-Lücke nicht mehr angeboten. Auf Abhilfe können Nutzer wohl nicht hoffen.

Artikel veröffentlicht am , Hanno Böck
2011 war es ein High-End-Gerät, heute lassen sich keine Mails mehr damit abrufen: das Lumia 800.
2011 war es ein High-End-Gerät, heute lassen sich keine Mails mehr damit abrufen: das Lumia 800. (Bild: Kiwi Flickr, CC by 2.0)

Viele Nutzer von Mobiltelefonen mit dem Betriebssystem Windows Phone 7 können seit kurzem ihre Mails nicht mehr abrufen. Der Grund ist, dass das von Microsoft nicht mehr unterstützte System beim Mailabruf mit POP3 oder IMAP nur das alte SSL-Protokoll in Version 3 unterstützt. Das betrifft unter anderem das Nokia Lumia 800-Smartphone, welches 2011 als erstes Produkt nach der Kooperation von Microsoft und Nokia veröffentlicht wurde.

Stellenmarkt
  1. Lufthansa Industry Solutions TS GmbH, Oldenburg
  2. infoteam Software AG, Bubenreuth,Dortmund

Nachdem die Poodle-Sicherheitslücke in SSL 3 entdeckt wurde, haben die meisten Serverbetreiber das alte SSL-Protokoll abgestellt. Das SSL 3-Protokoll ist uralt: Es wurde in den 90ern von Netscape entwickelt und eigentlich bereits 1999 durch TLS 1.0 abgelöst. Doch obwohl SSL 3 technisch völlig veraltet ist und zahlreiche Probleme hat, wurde es bis vor kurzem noch vielfach eingesetzt. Die IETF-TLS-Arbeitsgruppe bereitet gerade einen Standard vor, der die Abschaffung von SSL 3 vorsieht.

Microsoft hat inzwischen den Support für Windows Phone 7 eingestellt. Die letzte Version 7.8 wurde im März 2013 veröffentlicht, im Oktober dieses Jahres endete der Support offiziell. Somit ist vermutlich davon auszugehen, dass Nutzer dieser Geräte keine Updates mehr erhalten werden und das Problem ungelöst bleibt.

In Foren von Microsoft machen einige Nutzer ihrem Ärger Luft. Die Verärgerung der Nutzer ist nachvollziehbar. Auch wenn das System aktuell nicht mehr unterstützt wird, sollten Kunden davon ausgehen können, dass sie ein Produkt gekauft haben, das bei seiner Veröffentlichung dem aktuellen Stand der Technik entsprach. Windows Phone 7 wurde 2010 veröffentlicht, elf Jahre nach der Veröffentlichung von TLS 1.0.

Microsofts Entscheidung ist unverständlich

Warum Microsoft sich entschieden hat, das System ohne TLS-Support für den Mail-Abruf auszuliefern, ist schwer nachvollziehbar. Denn eigentlich unterstützt das System TLS. Der integrierte Webbrowser des Betriebssystems ist problemlos in der Lage, Webseiten mit TLS aufzurufen. Testen kann man das etwa mit den Webseiten von Twitter oder Github, die nach der Poodle-Lücke die Unterstützung für Verbindungen mit dem alten SSL-Protokoll abgeschaltet haben.

Für Nutzer von T-Online gibt es einen Workaround: Statt mit TLS können die Nutzer Mails mit einem Protokoll namens Exchange Activesync abrufen. Auch Freenet bietet diese Möglichkeit an. Exchange Activesync ist ein proprietäres, von Microsoft selbst entwickeltes Protokoll zum Mailabruf. Nutzer anderer Mailanbieter, die nur standardisierte Protokolle anbieten, haben diese Möglichkeit allerdings nicht. Das betrifft beispielsweise Kunden von GMX oder Web.de.

Wir haben bei der Pressestelle von Microsoft um eine Stellungnahme gebeten, jedoch keine Antwort erhalten.

Generell zeigt der Vorfall, wie schwierig es ist, alte Protokolle abzuschaffen. Das Problem sind dabei weniger die wirklich alten Geräte, sondern vielmehr Hersteller, die auch nach Jahren noch veraltete Protokolle einsetzen. Ähnliche Probleme dürften in Zukunft eher noch zunehmen, denn die protokollseitigen Angriffe auf SSL/TLS häufen sich. In Kürze wird es vermutlich einen Standard geben, der die Abschaltung von RC4 verlangt. Mittelfristig steht wohl auch die völlige Abschaffung von den problembehafteten CBC-Modi in TLS an. Das dürfte aber Probleme in viel größerem Ausmaß bereiten, denn damit könnten TLS 1.0 und 1.1 überhaupt nicht mehr genutzt werden. Nur TLS 1.2 bietet zurzeit wirklich sichere Verschlüsselungsverfahren an.



Anzeige
Hardware-Angebote
  1. ab 349€
  2. jetzt bei Apple.de bestellbar

Dwalinn 15. Dez 2014

WP7 war halt ein großer beta test für WP8. Soweit ich weiß werden ja alle Lumias WP10...

Anonymer Nutzer 15. Dez 2014

Na dann ist es ja OK wenn einem die eMail-Funktionalität verloren geht. Wenn es MS nicht...

Anonymer Nutzer 14. Dez 2014

Unter WP8.x verhält sich ein Outlook-Account genauso, wie der GMAIL-Account unter...

Anonymer Nutzer 14. Dez 2014

Dann hast du aber offensichtlich das Problem nicht verstanden. Das Problem hat nähmlich...

forumuser372 13. Dez 2014

Weil man sich auf das Wesentliche beschränkt. Klar, jetzt kann man argumentieren, dass...


Folgen Sie uns
       


Microsoft Intellimouse Classic - Fazit

Die Intellimouse ist zurück. Das beliebte, neutrale Design der Explorer 3.0 von 2004 ist nach langer Abstinenz wieder käuflich und deutlich verbessert - jedenfalls in den meisten Disziplinen.

Microsoft Intellimouse Classic - Fazit Video aufrufen
Dell XPS 13 (9370) im Test: Sehr gut ist nicht besser
Dell XPS 13 (9370) im Test
Sehr gut ist nicht besser

Mit dem XPS 13 (9370) hat Dell sein bisher exzellentes Ultrabook in nahezu allen Bereichen überarbeitet - und es teilweise verschlechtert. Der Akku etwa ist kleiner, das spiegelnde Display nervt. Dafür überzeugen die USB-C-Ports, die Kühlung sowie die Tastatur, und die Webcam wurde sinnvoller.
Ein Test von Marc Sauter und Sebastian Grüner

  1. Ultrabook Dell hat das XPS 13 ruiniert
  2. XPS 13 (9370) Dells Ultrabook wird dünner und läuft kürzer
  3. Ultrabook Dell aktualisiert XPS 13 mit Quadcore-Chip

BeA: Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet
BeA
Rechtsanwaltsregister wegen Sicherheitslücke abgeschaltet

Das deutsche Rechtsanwaltsregister hat eine schwere Sicherheitslücke. Schuld daran ist eine veraltete Java-Komponente, die für einen Padding-Oracle-Angriff verwundbar ist. Das Rechtsanwaltsregister ist Teil des besonderen elektronischen Anwaltspostfachs, war aber anders als dieses weiterhin online.
Eine Exklusivmeldung von Hanno Böck

  1. BeA Secunet findet noch mehr Lücken im Anwaltspostfach
  2. EGVP Empfangsbestätigungen einer Klage sind verwertbar
  3. BeA Anwälte wollen Ende-zu-Ende-Verschlüsselung einklagen

Underworld Ascendant angespielt: Unterirdische Freiheit mit kaputter Klinge
Underworld Ascendant angespielt
Unterirdische Freiheit mit kaputter Klinge

Wir sollen unser Können aus dem bahnbrechenden Ultima Underworld verlernen: Beim Anspielen des Nachfolgers Underworld Ascendant hat Golem.de absichtlich ein kaputtes Schwert bekommen - und trotzdem Spaß.
Von Peter Steinlechner

  1. Otherside Entertainment Underworld Ascendant soll mehr Licht ins Dunkle bringen

    •  /